CVE-2026-40477

Kritik

Açıklama

Thymeleaf, web ve bağımsız ortamlar için sunucu tarafı bir Java şablon motorudur. 3.1.3.RELEASE ve önceki sürümler, ifade yürütme mekanizmalarında bir güvenlik atlatma zafiyeti içermektedir. Kütüphane, ifade enjeksiyonunu önlemek için mekanizmalar sağlasa da erişilebilir nesnelerin kapsamını uygun şekilde kısıtlayamaz ve belirli potansiyel hassas nesnelere bir şablon içerisinden erişilmesine izin verir. Bir uygulama geliştiricisi doğrulanmamış kullanıcı girdisini doğrudan şablon motoruna aktarırsa, kimliği doğrulanmamış uzaktan bir saldırgan, Sunucu Tarafı Şablon Enjeksiyonu (SSTI) gerçekleştirmek için kütüphanenin korumalarını atlatabilir. Bu sorun 3.1.4.RELEASE sürümünde düzeltilmiştir.

ÖnemKritik

CVSS9.0

İstismar olasılığı—

ÜrünThymeleaf

Yayın17 Nis 2026

İlk görülme17 Nis 2026

Zayıflık türüCWE-917İfade dili enjeksiyonu CWE-1336CWE-1336

Nasıl düzeltilir

Güncelleyin

thymeleaf thymeleaf3.1.4 ya da sonraki bir sürüm
org.thymeleaf:thymeleaf3.1.4.RELEASE ya da sonraki bir sürüm
org.thymeleaf:thymeleaf-spring53.1.4.RELEASE ya da sonraki bir sürüm
org.thymeleaf:thymeleaf-spring63.1.4.RELEASE ya da sonraki bir sürüm

Üretici duyuruları

access.redhat.com/errata/RHSA-2026:21772

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
thymeleaf thymeleaf	v < 3.1.4	3.1.4
org.thymeleaf:thymeleafMaven	v < 3.1.4.RELEASE	3.1.4.RELEASE
org.thymeleaf:thymeleaf-spring5Maven	v < 3.1.4.RELEASE	3.1.4.RELEASE
org.thymeleaf:thymeleaf-spring6Maven	v < 3.1.4.RELEASE	3.1.4.RELEASE

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.